Smishing e vishing: l'SMS della banca, la telefonata del finto operatore e il conto da mettere al sicuro

Un SMS nella chat della tua banca, poi la chiamata dal numero giusto: come funziona la truffa del falso operatore, cosa dicono ABF e tribunali e come difendersi.

Solidasocial-engineeringtruffephishinginganno

Cremona, 2026. Un uomo di 54 anni, malato di SLA, vive con la madre novantenne che lo accudisce. Sul telefono arriva un messaggio che sembra di Nexi, il circuito delle carte: qualcuno sta cercando di svuotargli il conto. Poco dopo chiama un uomo che si presenta come poliziotto. È gentile, preparato, preoccupato per loro. Spiega che c'è un attacco informatico in corso e che i risparmi vanno spostati subito su "conti deposito sicuri".

Le telefonate e i messaggi continuano ogni giorno. Il finto agente diventa una presenza familiare, quasi un alleato. Bonifico dopo bonifico, partono quasi 200.000 euro. L'ultimo lo fa la madre, verso il conto di una società immobiliare di Messina. Poi il silenzio. [1]

Da fuori sembra assurdo. Perché, da dentro, ogni passo sembrava la cosa più prudente da fare?

In breve

Lo smishing è il phishing via SMS, il vishing quello via telefono. Spesso lavorano in coppia: il messaggio crea l'allarme, la telefonata guida la vittima. Con lo spoofing l'SMS compare nella stessa conversazione della banca vera e la chiamata mostra il numero vero della banca o delle forze dell'ordine.

🟢 Solida: lo schema è documentato da Banca d'Italia, Polizia Postale, FTC e da centinaia di decisioni dell'Arbitro Bancario Finanziario; le leve psicologiche (autorità, paura, urgenza) sono tra le più studiate in psicologia sociale.

Come funziona l'attacco

L'allarme. Arriva un SMS: accesso sospetto da un nuovo dispositivo, bonifico in uscita, carta bloccata, pacco in giacenza. Il mittente è "la banca", e il messaggio compare sotto quelli veri ricevuti negli anni. A volte c'è un link, a volte solo "sarai contattato da un operatore".
La telefonata dal numero giusto. Sul display appare il numero della banca, quello stampato sulla carta. L'operatore conosce il tuo nome, a volte l'IBAN o le ultime cifre della carta. Ti rassicura: "Siamo qui per bloccare tutto".
La richiesta "per proteggerti". Ti chiede di leggere un codice appena arrivato via SMS, di approvare una notifica nell'app, di installare un'app di assistenza "per verificare il telefono". Ogni azione sembra una misura di sicurezza; in realtà autorizza l'operazione dei truffatori.
Il secondo personaggio. Nella variante più dura entra in scena un finto carabiniere, poliziotto o "esperto antifrode". La storia si allarga: c'è un dipendente infedele in filiale, un'indagine in corso. Per questo, ti dicono, non devi parlarne con la tua banca. [2]
Il conto da mettere al sicuro. L'ultima richiesta: spostare i soldi con un bonifico istantaneo su un "conto di sicurezza" intestato a qualcun altro. È il passaggio che rende il furto quasi irrecuperabile, perché è la vittima stessa ad autorizzarlo.

Le leve nel cervello

Autorità. Banca, polizia, carabinieri: ruoli a cui siamo educati a obbedire, soprattutto al telefono. Nell'esperimento di Hofling (1966), 21 infermiere su 22 si avviavano a somministrare un farmaco su ordine telefonico di un finto medico mai visto prima. Lo raccontiamo in Bias di autorità.
Paura della perdita. "Ti stanno svuotando il conto" attiva la reazione più forte che abbiamo verso il denaro: perdere fa più male che guadagnare. Vedi Avversione alla perdita.
Il numero sul display come prova. Il nostro cervello tratta il nome della banca sullo schermo come un fatto, non come un'informazione da verificare. Secondo la teoria del default della verità di Timothy Levine, crediamo finché non arriva un segnale forte che ci fa dubitare. [13] Lo spoofing serve proprio a togliere quel segnale.
Coerenza, un passo alla volta. Prima confermi il nome, poi un codice, poi un piccolo bonifico "di prova". Ogni passo rende più difficile fermarsi, perché fermarsi significherebbe ammettere che anche i passi precedenti erano sbagliati. Vedi Costi sommersi.
Isolamento. "Non parlarne in filiale" e "resta in linea" tolgono l'unica cosa che smonterebbe la truffa: una seconda opinione.

Christopher Hadnagy, che da vent'anni simula attacchi su commissione delle aziende, descrive il vishing come un vettore "facile, economico e molto redditizio" per l'attaccante, quasi impossibile da rintracciare quando i numeri sono falsificati e la chiamata parte dall'estero. [14]

Casi reali

1. Cremona, 2026: quasi 200.000 euro su "conti sicuri". Un falso avviso Nexi, poi un finto poliziotto che si fa sentire ogni giorno. Leve: autorità, paura, ripetizione che crea fiducia. Indagini in corso al momento della notizia (ANSA, giugno 2026). [1]

2. Genova, 2024: la banca deve rimborsare. Nel giugno 2021 un cliente riceve un SMS, nella stessa conversazione della sua banca, su accessi non autorizzati. Clicca, inserisce i dati, poi un finto operatore lo chiama e lo rassicura. In poche ore partono 14.900 euro. Il Tribunale di Genova, con sentenza pubblicata il 22 maggio 2024, ha dato ragione al cliente: era stato vittima di un attacco mirato, il bonifico era partito senza autenticazione forte e la banca non aveva bloccato operazioni anomale. Secondo l'articolo, il cliente ha recuperato circa 12.000 euro. [3]

3. ABF Milano, decisione n. 7703 del 4 luglio 2024: ricorso respinto. SMS da un numero apparentemente della banca su un accesso dall'estero, link per "bloccare", poi una chiamata dal finto servizio clienti che chiede dati delle carte. L'Arbitro ha dato ragione alla banca: l'SMS conteneva un link non riconducibile alla banca ed errori di sintassi e lessico che avrebbero dovuto insospettire. Il Collegio ricorda però la regola generale: nei casi di spoofing la colpa grave del cliente di norma non si presume, se il messaggio non presenta anomalie. [4]

4. ABF Roma, decisione n. 8198 del 12 settembre 2025: rimborso parziale. SMS falsificati nella stessa conversazione della banca, accesso remoto al telefono, due bonifici istantanei. Le operazioni erano state autorizzate dalla cliente, quindi non "non autorizzate" in senso tecnico. Il Collegio ha comunque valutato la condotta della banca secondo correttezza e buona fede e, riconoscendo un concorso di colpa della cliente, ha disposto un rimborso di 17.000 euro in via equitativa. [5]

5. Regno Unito: il conto "sicuro" di Lily. Prima un SMS su un acquisto con carta, il giorno dopo una chiamata dal numero stampato sulla carta: il conto è a rischio, bisogna spostare tutto. La vittima perde 9.225 sterline. Il Financial Ombudsman Service ha chiesto alla banca il rimborso totale: era ragionevole credere a un numero falsificato, l'avviso mostrato dall'app non spiegava la truffa e il pagamento era anomalo rispetto alle abitudini. [6]

I numeri

Banca d'Italia, secondo semestre 2025: le frodi sui bonifici valgono 88,7 milioni di euro. Il 72% del valore (58% delle operazioni) nasce dalla manipolazione del pagatore: ingegneria sociale, phishing, spoofing. Sui bonifici il 92% delle perdite resta a carico dei clienti. Le frodi sui bonifici istantanei sono calate del 53% in un anno, anche grazie alla verifica del nome del beneficiario introdotta dalle nuove regole europee. [9]
Polizia Postale, report 2025: 27.085 procedimenti per crimini economico-finanziari online e oltre 269 milioni di euro sottratti. [12]
FTC, Stati Uniti 2024: 470 milioni di dollari di perdite denunciate per truffe via SMS, più di cinque volte il dato del 2020. Tra le cinque più frequenti ci sono i finti avvisi di frode della banca che spingono a spostare i soldi su conti "sicuri". [10]
Verizon DBIR 2026: gli attacchi di ingegneria sociale via mobile hanno un tasso di successo mediano circa il 40% più alto delle campagne solo email. [11]
CERT-AgID 2025: le campagne via SMS sono in calo ma non spariscono; ordini, spedizioni e home banking restano tra i temi più sfruttati. [15]

Cosa raccontano le vittime

La seconda chiamata. Una donna americana ha raccontato su r/Scams, in un post con oltre 1.800 voti ripreso da IBTimes, di aver ricevuto un vero avviso di frode dalla sua banca. Lo ha gestito correttamente. Un'ora dopo l'ha richiamata "lo stesso ufficio antifrode", dal numero stampato sulla carta: citava l'incidente precedente e ne aggiungeva altri, chiedendo di chiudere tutti i conti e "spostare" il denaro. Ha riattaccato e ha richiamato lei la banca: la seconda chiamata era falsa. [8]
"Ogni volta che mi metteva in attesa". Due clienti di una banca americana hanno descritto a CBS chiamate dal numero dell'ufficio frodi, con un operatore che già conosceva nome, indirizzo e numero della carta. Mentre le teneva in attesa "per consultare un supervisore", spostava i soldi. A una ha detto di non rispondere alla chiamata della banca vera, perché "se ne stava già occupando lui". [7]

Esempi, non statistiche. Il filo comune: il truffatore si presenta come chi ti protegge dalla truffa.

Il mito da smontare

"Se sul display c'è il numero della banca, è la banca." 🔴 Mito.

Il numero che vedi è un'informazione che il chiamante può falsificare, come il mittente di un SMS. Lo dimostrano le decisioni dell'ABF e dei tribunali citate sopra e gli avvisi delle stesse banche. [2] [4] [5] L'unico numero affidabile è quello che componi tu.

Segnali d'allarme

🚩 Ti chiedono di spostare i soldi su un altro conto "per sicurezza". Nessuna banca lo fa mai.
🚩 Ti chiedono codici OTP, PIN o di approvare una notifica che non hai avviato tu.
🚩 Ti chiedono di installare un'app di assistenza o controllo remoto.
🚩 Ti dicono di non parlarne in filiale o con i familiari.
🚩 Entra in scena un secondo personaggio (carabiniere, poliziotto, esperto antifrode).
🚩 L'SMS contiene un link per "bloccare" o "verificare".

Come difendersi

Per le persone.

Riattacca e richiama tu, dal numero sul retro della carta o dall'app. Aspetta qualche minuto o usa un altro telefono.
Una regola di famiglia: "la banca non ci chiede mai di spostare soldi né di dare codici". Scrivila vicino al telefono dei genitori anziani.
Nessun codice a nessuno, nemmeno a chi dice di essere della banca o della polizia.
Abbassa i limiti dei bonifici istantanei nell'app e attiva le notifiche di ogni operazione.
Il dubbio è gratis: puoi sempre chiamare il 112 per verificare se un agente esiste davvero, come consigliano le banche stesse. [2]

Per le banche e le aziende. Avvisi in app che spiegano lo schema in concreto ("Se qualcuno al telefono ti ha detto di fare questo bonifico, è una truffa"), verifica del beneficiario, blocchi sulle operazioni anomale. Il caso di Lily mostra che un avviso generico non basta. [6]

Se è già successo

Chiama subito il numero verde della banca (dal retro della carta) e blocca carte, app e bonifici. Chiedi il richiamo del bonifico: con quelli istantanei i minuti contano.
Denuncia alla Polizia Postale, anche online su commissariatodips.it, o a carabinieri e polizia.
Reclamo scritto alla banca. Se la risposta non arriva nei termini o non ti soddisfa, puoi ricorrere entro 12 mesi all'Arbitro Bancario Finanziario: costa 20 euro, rimborsati se vinci anche solo in parte, e non serve l'avvocato. [16]
Conserva SMS, registro chiamate e schermate: sono le prove per ABF e indagini.

Altri passaggi in Cosa fare se ci sei cascato.

Mettiti alla prova

Sabato pomeriggio, nella conversazione SMS della tua banca, compare questo messaggio:

Gentile cliente, rilevato accesso da nuovo dispositivo (Android, Milano). Se non sei tu, non fare nulla: verrai contattato a breve da un nostro operatore del reparto sicurezza.

Dieci minuti dopo squilla il telefono. Sul display c'è il nome della tua banca.

Attacco o richiesta vera?

Soluzione. Quasi certamente un attacco, e molto ben fatto: niente link, niente errori, solo un annuncio che prepara la chiamata. La conversazione e il nome sul display non provano nulla, perché entrambi possono essere falsificati. La mossa giusta: non rispondere o riattaccare subito, aprire l'app, controllare i dispositivi collegati e chiamare tu il numero sul retro della carta. Se l'avviso era vero, la banca te lo confermerà.

Per approfondire

Fonti

L'Adige (ANSA), "Truffa con sms e finto poliziotto, rubati quasi 200mila euro a un malato di Sla", 10 giugno 2026. https://www.ladige.it/attualita/truffa-con-sms-e-finto-poliziotto-rubati-quasi-200mila-euro-a-un-malato-di-sla-olgdjflw
La Nazione Siena, "Prima chiama l'esperto antifrode, poi...", 19 aprile 2026. https://www.lanazione.it/siena/cronaca/prima-chiama-lesperto-antifrode-poi-280813e8
AziendaBanca, "Sentenza a Genova: le vittime di phishing oggetto di attacchi mirati, la banca risarcisca", 23 maggio 2024. https://www.aziendabanca.it/notizie/tecno/sentenza-truffe-phishing
Iusletter, "Su chi ricade la responsabilità se un cliente cade vittima dello spoofing?", 19 novembre 2024 (ABF Milano, n. 7703/2024). https://iusletter.com/dalla-redazione/diritto-della-banca-e-dei-mercati-finanziari/abf/su-chi-ricade-la-responsabilita-se-un-cliente-cade-vittima-dello-spoofing/
Punto Informatico, "Truffa bonifici bancari, vittima di spoofing risarcita dall'ABF", 29 settembre 2025 (ABF Roma, n. 8198/2025). https://www.punto-informatico.it/truffa-bonifici-bancari-vittima-di-spoofing-risarcita-dallabf/
Financial Ombudsman Service (UK), "How we helped with a complaint about a 'safe account' scam". https://www.financial-ombudsman.org.uk/decisions-case-studies/case-studies/helped-complaint-safe-account-scam
CBS Texas, "BB&T Customers Have Bank Accounts Drained By Spoof Callers", 5 luglio 2019. https://www.cbsnews.com/amp/texas/news/bbt-customers-bank-accounts-drained-spoof-callers
IBTimes UK, "She Reported Fraud to Her Bank. Then Scammers Called Back Using Details From the Genuine Alert", 30 settembre 2026. https://www.ibtimes.co.uk/bank-fraud-alert-scam-impersonation-call-1822894
MF Milano Finanza, "Bankitalia, bonifici istantanei: frodi in calo grazie alle nuove regole Ue", 21 luglio 2026 (Banca d'Italia, rapporto sulle operazioni di pagamento fraudolente, II semestre 2025). https://www.milanofinanza.it/news/bankitalia-bonifici-istantanei-frodi-in-calo-grazie-alle-nuove-regole-ue-202607211354129172
Federal Trade Commission, "Top text scams of 2024", Data Spotlight, 14 aprile 2025. https://www.ftc.gov/news-events/data-visualizations/data-spotlight/2025/04/top-text-scams-2024
Verizon, 2026 Data Breach Investigations Report; sintesi Retarus. https://www.retarus.com/blog/en/?p=11792
Quotidiano.net, "Ingegneria finanziaria del male: il cybercrime da 269 milioni che svuota i conti degli italiani", 17 marzo 2026. https://www.quotidiano.net/economia/ingegneria-finanziaria-del-male-il-cybercrime-da-269-milioni-che-svuota-i-conti-degli-italiani-d5e215f8
Levine, T. R. (2020). Duped: Truth-Default Theory and the Social Science of Lying and Deception. University of Alabama Press.
Hadnagy, C. (2018). Social Engineering: The Science of Human Hacking, 2ª ed. Wiley, cap. 1.
AgID, report CERT-AgID sulle campagne malevole 2025. https://www.agid.gov.it/it/notizie/online-il-report-sulle-campagne-malevole-registrate-nel-2025-dal-cert-agid
Altroconsumo, "Arbitro bancario finanziario: come funziona". https://www.altroconsumo.it/soldi/conti-correnti/news/arbitro-finanziario